系统调用捕获和分析—通过ptrace获取系统调用信息

最新推荐文章于 2023-01-23 19:50:30 发布
最新推荐文章于 2023-01-23 19:50:30 发布
阅读量641 收藏 2
点赞数 1
分类专栏： 系统安全 文章标签： 系统安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_42172261/article/details/125068881
版权
系统安全 专栏收录该内容
25 篇文章 24 订阅 ¥19.90 ¥99.00
订阅专栏
本文介绍如何通过ptrace系统调用在Linux中实现进程跟踪，以捕获和分析系统调用。详细讲解了ptrace的工作原理及其实现过程，包括如何创建跟踪程序来记录目标程序的系统调用日志。
摘要由CSDN通过智能技术生成

本文为毕业设计过程中学习相关知识、动手实践记录下来的完整笔记，通过阅读本系列文章，您可以从零基础了解系统调用的底层原理并对系统调用进行拦截。由于本人能力有限，文章中可能会出现部分错误信息，如有错误欢迎指正。另外，本系列所有内容仅作为个人学习研究的笔记，转载请标明出处。感谢您的关注！

文章目录

ptrace系统调用

linux提供了ptrace系统调用接口，通过这个接口可以实现进程的跟踪功能。以此实现父进程对其子进程进行控制和改变子进程核心镜像，包括读写子进程空间的数据等。

其基本原理是当使用了ptrace跟踪后，所有发送给被跟踪的子进程的信号(除了SIGKILL)，都会被转发给父进程，而子进程则会被阻塞，这时子进程的状态就会被系统标注为TASK_TRACED。而父进程收到信号后，就可以对停止下来的子进程进行检查和修改，然后让子进程继续运行。

ptrace函数原型如下

#include <sys/ptrace.h&
了解本专栏 订阅专栏 解锁全文
H4ppyD0g
关注
专栏目录
订阅专栏
系统调用捕获和分析—通过strace获取系统调用信息
H4ppyD0g的博客
06-06 525
本文为毕业设计过程中学习相关知识、动手实践记录下来的完整笔记，通过阅读本系列文章，您可以从零基础了解系统调用的底层原理并对系统调用进行拦截。由于本人能力有限，文章中可能会出现部分错误信息，如有错误欢迎指正。另外，本系列所有内容仅作为个人学习研究的笔记，转载请标明出处。感谢您的关注！完整系列文章列表 系统调用捕获和分析—通过ptrace获取系统调用信息在linux操作系统中，应用程序执行时的进程不能直接访问底层硬件设备，只能通过系统调用的方式调用内核提供的接口，使得其从用户态转为内核态，达到访问硬件设备的目的
Linux中使用ptrace获取pthread线程的寄存器信息
手边笔记
07-12 7171
1.与本文相关的有这几个重要的函数： pthread_create：创建线程 pthread_self：获取当前运行的线程的线程ID (The pthread_self() function returns the ID of the calling thread.) getpid：获取当前进程ID gettid：获取当前运行的线程的线程ID(gettid() returns the ca
通过ptrace跟踪进程
bunner_的博客
06-10 889
1. 任务环境与目标 1.1 实验机器 Ubuntu 20.04 64位 1.2 任务目标 给定一个可执行文件，该程序调用两次print_string函数，分别输出Hello 1，Hello 2，要求在print_string处下断点，并输出该处时的各寄存器值 2. 原理 2.1 ptrace ptrace的函数原型为：long ptrace(enum __ptrace_request request, pid_t pid, void *addr, void *data); 那么有关本任务中涉及到的一些re
Ptrace测试sys_openat系统调用
qq_42045349的博客
10-01 1745
Ptrace测试sys_openat系统调用 Ptrace测试sys_openat系统调用 系统调用 ptrace 官方手册 玩转ptrace ptrace原理 系统调用 Linux内核中设置了一组用于实现各种系统功能的子程序，称为系统调用。用户可以通过系统调用命令在自己的应用程序中调用它们。从某种角度来看，系统调用和普通的函数调用非常相似。区别仅仅在于，系统调用由操作系统核心提供，运行于核心态；而普通的函数调用由函数库或用户自己提供，运行于用户态。 系统调用是linux操作系统中应用程序与用户交互的接口，
ptrace系统调用的实现
imred的专栏
05-12 2703
最近遇到这样一个问题，机器跑着跑着画面冻结了，打开top看到Xorg的cpu占用率100%。想用gdb挂上去看一下，结果gdb一直卡着挂不上去。后来又换用perf分析，结果发现进程99%的时间花在了一个ioctl调用。这个ioctl操作的是nvidia显卡，进程实际上是卡在了nvidia的驱动中。 我对gdb挂不上去这件事感到很好奇，之前除了因为进程已经被另一个gdb调试而导致gdb挂不上去之外，...
系统调用捕获和分析—必备的系统安全的知识点
H4ppyD0g的博客
06-13 943
本文为毕业设计过程中学习相关知识、动手实践记录下来的完整笔记，通过阅读本系列文章，您可以从零基础了解系统调用的底层原理并对系统调用进行拦截。由于本人能力有限，文章中可能会出现部分错误信息，如有错误欢迎指正。另外，本系列所有内容仅作为个人学习研究的笔记，转载请标明出处。感谢您的关注！完整系列文章列表 系统调用捕获和分析—通过ptrace获取系统调用信息 系统调用捕获和分析—通过strace获取系统调用信息​ 普通函数调用是通过将参数压栈的方式传递的。系统调用从用户态切换到内核态，在两种执行模式下使用的是不同
系统调用捕获和分析—Ring0层kprobe劫持系统调用
H4ppyD0g的博客
07-24 398
首先kprobe是最基本的探测方式，是实现后两种的基础，它可以在任意的位置放置探测点（就连函数内部的某条指令处也可以），它提供了探测点的调用前、调用后和内存访问出错3种回调方式，分别是pre_handler、post_handler和fault_handler，其中pre_handler函数将在被探测指令被执行前回调，post_handler会在被探测指令执行完毕后回调（注意不是被探测函数），fault_handler会在内存访问出错时被调用；编译，插入模块，查看内核信息。Makefile文件。...
系统调用捕获和分析—使用LKM方法添加系统调用
H4ppyD0g的博客
06-13 490
本文为毕业设计过程中学习相关知识、动手实践记录下来的完整笔记，通过阅读本系列文章，您可以从零基础了解系统调用的底层原理并对系统调用进行拦截。由于本人能力有限，文章中可能会出现部分错误信息，如有错误欢迎指正。另外，本系列所有内容仅作为个人学习研究的笔记，转载请标明出处。感谢您的关注！这也是作者极力推荐的一个系列文章！完整系列文章列表 系统调用捕获和分析—通过ptrace获取系统调用信息 系统调用捕获和分析—通过strace获取系统调用信息 系统调用捕获和分析—必备的系统安全的知识点LKM(Load Kerne
系统调用捕获和分析—Ring3层LD_PRELOAD机制进行库函数劫持
H4ppyD0g的博客
07-24 284
根据Linux对外部动态共享库的符号引入全局符号表的处理，后引入的符号会被省略，即系统原始的.so(/lib/libc.so.6)中的符号会被省略。如果当前进程空间中已经存在某个同名的符号，则后载入的so的同名函数符号会被忽略，但是不影响so的载入，先后载入的so会形成一个链式的依赖关系，通过RTLD_NEXT可以遍历这个链。注意当调用dlsym的时候传入RTLD_NEXT参数，gcc的共享库加载器会按照"装载顺序(loadorder)(即先来后到的顺序)"获取"下一个共享库"中的符号地址。...
ptrace接口和execve同步导致的一个内核漏洞
Netfilter
02-09 3744
linux中是不可以依附别的进程的，更不可能创建远程线程，然而一种不太正规的方式却可以做到这一点，这就是ptrace接口，ptrace可以依附任何用户进程，用特殊的参数甚至可以更改任何进程的寄存器和内存映射，这个功力和创建远程线程不相上下，甚至比其更加灵活，如果理解了elf映像在内存的布局便可以通过ptrace修改被调试进程的任意内存。然而有一个限制就是ptrace接口只能调试属于自己用户的进程，
eBPF 入门开发实践指南六：捕获进程发送信号的系统调用集合，使用 hash map 保存状态
最新发布
云微的blog
01-23 1528
本文主要介绍如何实现一个 eBPF 工具，捕获进程发送信号的系统调用集合，使用 hash map 保存状态。struct {并使用一些对应的 API 进行访问，例如 bpf_map_lookup_elem、bpf_map_update_elem、bpf_map_delete_elem 等。完整的教程和源代码已经全部开源，可以在中查看。
ptrace 系统调用
tq08g2z的专栏
09-02 589
ptrace 是 Linux 环境下，许许多多分析调试工具，如 strace，ltrace 等，所使用的最核心的系统调用。ptrace，即 process trace，指进程追踪。它能让一个进程控制及影响另一个进程的行为，比如让另外一个进程停止运行，获取另外一个进程内存地址空间中的值，设置另外一个进程内存中的值，获取另外一个进程的寄存器的值，设置另外一个进程的寄存器的值，等等等等。 ptrace 系统调用的 C 库接口原型如下： #include <sys/ptrace.h>
playing with ptrace(Part I) 之二 --- 通过ptrace读取系统调用的参数
韦编二绝
06-18 2313
文章出处：http://www.linuxjournal.com/article/6100?page=0,1 Nov 01, 2002  By Pradeep Padala in SysAdmin 读取系统调用的参数 读取系统调用的参数 调用ptrace并将其第一个参数设为PTRACE_PEEKUSER，我们可以读到用户数据区存储的寄存器值和其他一些信息。
系统调用
huaxiang1234的专栏
09-16 882
Linux系统将进程的可执行空间分为用户空间和内核空间，如图 这是因为在Linux中用户程序不能直接访问内核提供的服务。为了更好的保护内核空间，将程序的运行空间分为内核空间和用户空间，他们运行在不同的级别上，在逻辑上是相互隔离的。 这好比是我们去银行取钱，我要取500元钱，我先走到办公窗口，将我的服务请求（取钱）告诉工作人员，让他帮我从我的个人帐户里面取出500元钱来，然后将钱通过
ptrace 获取程序实时的堆栈
ChangeMe
11-15 1114
#!/bin/bash if test $# -ne 1; then echo "Usage: `basename $0 .sh` &lt;process-id&gt;" 1&gt;&amp;2 exit 1 fi if test ! -r /proc/$1; then echo "Process $1 not found." 1&gt;&amp;2 exit ...
系统调用ptrace和进程跟踪
guoguangwu的专栏
01-16 1900
为方便应用软件的开发和调试，从Unix的早期版本开始就提供了一种对运行中的进程进行跟踪和控制的手段，那就是系统调用ptrace。通过ptrace，一个进程可以动态地读写另一个进程的内存和寄存器，包括其指令空间、数据空间、堆栈以及所有的寄存器。与信号机制（以及其他手段） 。。。。。。 ...
Linux打印内核函数调用栈（dump_stack）
热门推荐
SweeNeil
03-01 1万+
在Linux内核中提供了一个可以打印出内核调用堆栈的函数 dump_stack() 该函数在我们调试内核的过程中可以打印出函数调用关系，该函数可以帮助我们进行内核调试，以及让我们了解内核的调用关系。 该函数头文件为： #include &lt;asm/ptrace.h&gt; 使用方式： 直接在想要查看的函数中添加 dump_stack(); 案例： 随便写了一个模块test....
ptrace和wait的理解 (ptrace监控进程)
tuhuolong的专栏
07-11 2365
ptrace(追踪控制另一进程)wait, waitpid, waitid(等待进程状态改变) 这里有一个问题，就是当子进程调用PTRACE_TRACEME或者父进程调用PTRACE_ATTACH之后，在什么情况下会将子进程stop（从而将控制权交给父进程）呢？要回答这个问题，首先要知道当我们使用ptrace的时候，内核中发生了什么？这里有一段简要的说明：当一个进程调用了 ptrace(PTRACE
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

H4ppyD0g

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值